Azure 備份中的安全性功能概觀

  • 發行項

您可以採取來保護數據的最重要步驟之一是擁有可靠的備份基礎結構。 但請務必確保數據以安全的方式進行備份，而且您的備份隨時都會受到保護。 Azure 備份為您的備份環境提供安全性，您的資料在傳輸中和靜止時都是如此。 本文列出 Azure 備份 中的安全性功能，可協助您保護備份數據，並符合商務的安全性需求。

身分識別和使用者存取的管理與控制

系統會隔離復原服務保存庫所使用的儲存體帳戶，且使用者無法對其進行存取，以進行任何惡意用途。 只有透過 Azure 備份管理作業才允許該存取權，例如還原。 Azure 備份 可讓您使用 更細緻的存取來控制受控作業Azure 角色型存取控制 （Azure RBAC） 。 Azure RBAC 可讓您隔離小組內的職責，並只授與執行其工作所需的使用者存取權數量。

Azure 備份 提供三個內建角色來控制備份管理作業：

  • 備份參與者：若要建立和管理備份，除了刪除復原服務保存庫，以及授與其他人存取權之外
  • 備份操作員：參與者除了移除備份和管理備份原則以外的一切
  • 備份讀取者：檢視所有備份管理作業的許可權

深入瞭解 Azure 角色型訪問控制來管理 Azure 備份。

Azure 備份 服務內建數個安全性控制措施，以防止、偵測及回應安全性弱點。 深入瞭解 Azure 備份的安全性控制。

使用 Azure 備份 的數據隔離

透過 Azure 備份，保存的備份數據會儲存在 Microsoft 管理的 Azure 訂用帳戶和租使用者中。 外部使用者或來賓無法直接存取此備份記憶體或其內容，以確保備份數據與數據源所在的生產環境隔離。

在 Azure 中，傳輸中的所有通訊和數據都會使用 HTTPS 和 TLS 1.2+ 通訊協定安全地傳輸。 此數據會保留在 Azure 骨幹網路上，以確保可靠且有效率的數據傳輸。 待用備份數據預設會使用 Microsoft 管理的金鑰進行加密。 如果您需要更充分地控制數據，您也可以攜帶自己的金鑰進行加密。 若要增強保護，您可以使用 不變性，防止數據在其保留期間之前遭到變更或刪除。 Azure 備份 提供各種選項，例如虛刪除、停止備份和刪除數據，或如果您需要隨時停止備份，請保留數據。 若要保護重要作業，您可以使用名為 Azure Resource Guard 的 Azure 資源，新增 額外的保護層的多用戶授權（MUA ）。

這種健全的方法可確保即使在遭入侵的環境中，未經授權的使用者也無法竄改或刪除現有的備份。

Azure VM 備份不需要因特網連線

Azure VM 的備份需要將數據從虛擬機的磁碟移至復原服務保存庫。 不過，所有必要的通訊和數據傳輸只會發生在 Azure 骨幹網路上，而不需要存取您的虛擬網路。 因此，備份放在安全網路內的 Azure VM 並不需要您允許存取任何 IP 或 FQDN。

Azure 備份 的私人端點

您現在可以使用 私人端點 ，從虛擬網路內的伺服器安全地備份數據到復原服務保存庫。 私人端點會使用來自保存庫 VNET 位址空間的 IP，因此您不需要向任何公用 IP 公開虛擬網路。 私人端點可用來備份和還原在 Azure VM 內執行的 SQL 和 SAP HANA 資料庫。 它也可用於使用MARS代理程式的內部部署伺服器。

若要深入瞭解私人端點，請參閱這裡 Azure 備份。

資料加密

加密可保護您的數據，並協助您符合組織的安全性和合規性承諾。 資料加密會在 Azure 備份 的許多階段進行：

虛刪除

Azure 備份 提供安全性功能，以協助保護備份數據，即使在刪除之後也是如此。 使用虛刪除時，如果您刪除 VM 的備份，備份數據會保留 14 天，讓該備份專案不會遺失數據。 在「虛刪除狀態」中額外保留14天的備份資料不會產生任何費用。 深入了解虛刪除。

Azure 備份 現已增強虛刪除功能，以進一步改善刪除後復原數據的機會。 深入了解。

不可變的保存庫

固定保存庫可藉由封鎖可能導致恢復點遺失的任何作業，協助您保護您的備份數據。 此外，您可以鎖定不可變的保存庫設定，使其無法復原，以防止任何惡意執行者停用不變性及刪除備份。 深入瞭解不可變的保存庫。

多用戶授權

Azure 備份的多用戶授權 （MUA） 可讓您將額外的保護層新增至復原服務保存庫和備份保存庫的重要作業。 針對 MUA，Azure 備份 使用另一個稱為 Resource Guard 的 Azure 資源，以確保只有在適用的授權下才會執行重要作業。 深入瞭解 Azure 備份的多用戶授權。

增強式虛刪除

增強的虛刪除可讓您即使在數據遭到刪除、意外或惡意之後，也能復原數據。 其運作方式是延遲指定期間永久刪除數據，讓您有機會擷取數據。 您也可以讓虛刪除 永遠開啟 ，以防止它停用。 深入瞭解備份的增強式虛刪除。

可疑活動的監視和警示

Azure 備份 提供內建的監視和警示功能，以檢視和設定與 Azure 備份 相關的事件動作。 備份報告 可作為追蹤使用量、稽核備份和還原，以及識別不同層級數據粒度的重要趨勢的一站式目的地。 使用 Azure 備份的監視和報告工具，可在任何未經授權、可疑或惡意活動發生時立即發出警示。

安全性功能有助於保護混合式備份

Azure 備份 服務會使用 Microsoft Azure 復原服務 （MARS） 代理程式，將檔案、資料夾和磁碟區或系統狀態從內部部署電腦備份和還原至 Azure。 MARS 現在提供安全性功能來協助保護混合式備份。 這些功能包括：

  • 每當執行變更複雜密碼等重要作業時，就會新增額外的驗證層。 此驗證可確保這類作業只能由具有有效 Azure 認證的用戶執行。 深入瞭解防止攻擊的功能。

  • 刪除的備份數據會在刪除日期后再保留 14 天。 這可確保數據在指定時間內的復原能力，因此即使發生攻擊，也不會遺失任何數據。 此外，會維護較多的最低復原點，以防範損毀資料。 深入瞭解如何復原已刪除的備份數據。

  • 針對使用 Microsoft Azure 復原服務 （MARS） 代理程式備份的數據，複雜密碼是用來確保數據在上傳至 Azure 備份 之前加密，而且只有在從 Azure 備份 下載後才解密。 複雜密碼詳細數據僅適用於建立複雜密碼的使用者，以及已設定複雜密碼的代理程式。 不會與服務傳輸或共用任何專案。 這可確保數據的完整安全性，因為不小心公開的任何數據（例如網路上的中間人攻擊）在不使用複雜密碼的情況下無法使用，而且不會透過網路傳送複雜密碼。

安全性狀態和安全性層級

Azure 備份 提供保存庫層級的安全性功能，以保護儲存在保存庫中的備份數據。 這些安全性措施包含與保存庫 Azure 備份 解決方案相關聯的設定，以及保存庫中所包含的受保護數據源。

Azure 備份 保存庫的安全性層級分類如下：

  • 優秀 （最大值）：此層級代表最高安全性，可確保全面保護。 當所有備份數據都受到意外刪除的保護，並防範勒索軟體攻擊時，您可以達成此目的。 若要達到此高安全性層級，必須符合下列條件：

  • 良好（適當）：這表示健全的安全性層級，可確保可靠的數據保護。 這會防止現有備份不會不慎遭到移除，並增強資料復原的可能性。 若要達到此安全性層級，您必須啟用鎖定或虛刪除的不變性。

  • 公平（最低/平均）：這代表基本層級的安全性，適用於標準保護需求。 基本備份作業受益於額外的保護層。 若要達到最低安全性，您必須在保存庫上啟用多用戶授權 （MUA）。

  • 不良（壞/無）：這表示安全性措施的不足，較不適合數據保護。 在此層級中，既沒有進階防護功能，也沒有完全可逆的功能。 None 層級安全性提供保護，主要是防止意外刪除。

您可以 透過 Azure 商務持續性中心，檢視和管理其各自保存庫中所有數據源的安全性層級。

符合標準化的安全性需求

為了協助組織遵守規範個人數據的收集和使用的國家/地區和產業特定需求，Microsoft Azure 和 Azure 備份 提供一組完整的認證和證明。 請參閱合規性認證清單

下一步